Nie klikam w żaden SMS o mandacie i tobie też to odradzam. Prawdziwa kara nigdy nie przychodzi linkiem

Jak działa oszustwo na mandat z mObywatela

Schemat jest banalnie prosty i przez to skuteczny. Ofiara dostaje SMS informujący o rzekomym mandacie drogowym za przekroczenie prędkości oraz o konieczności zweryfikowania jego statusu. Link w wiadomości prowadzi do witryny podszywającej się pod oficjalny serwis rządowy. Tam użytkownik podaje dane teleadresowe, a w kolejnym kroku dane karty płatniczej, rzekomo po to, żeby mandat opłacić.

Jak ostrzega Karolina Kmak, ekspertka do spraw cyberbezpieczeństwa w CyberRescue, konsekwencje bywają znacznie poważniejsze niż jednorazowa strata:

„Wprowadzenie tych informacji może skutkować kradzieżą pieniędzy z konta bankowego, wykonaniem nieautoryzowanych transakcji lub wykorzystaniem danych do kolejnych prób oszustwa. Przestępcy często wywierają presję czasu i straszą dodatkowymi konsekwencjami finansowymi lub prawnymi, żeby skłonić ofiarę do szybkiego działania”.

Ostatnie zdanie jest tu kluczowe. Presja czasu to nie dodatek, tylko rdzeń całego mechanizmu. Komunikat ma wywołać reakcję, zanim odbiorca zdąży sprawdzić, czy w ogóle jechał tamtędy w podanym terminie.

Dlaczego akurat mObywatel

Wybór marki nie jest przypadkowy. Aplikacja ma dziś status narzędzia powszechnego, a od czasu, gdy mObywatel został zrównany z plastikowym dowodem, sporo osób traktuje ją jako pełnoprawny kanał kontaktu z administracją. Oszuści korzystają z tego skrótu myślowego: skoro państwo załatwia przez aplikację sprawy urzędowe, to i wiadomość o mandacie wydaje się wiarygodna.

To ten sam mechanizm, który wcześniej napędzał inne kampanie. Już w 2019 r. nazwaliśmy SMS od komornika oszustwem, bo wykorzystywał dokładnie tę samą dźwignię, a offline od lat funkcjonują fałszywe mandaty zatykane za wycieraczki na parkingach przy centrach handlowych. Zmienia się tylko nośnik.

Mandatu drogowego nie wystawia się SMS-em

Warto rozdzielić dwie rzeczy: sposób, w jaki państwo nakłada karę, i sposób, w jaki się ją opłaca.

Mandat karny nakłada funkcjonariusz w toku czynności służbowych. Jeżeli sprawcy nie zastano na miejscu, stosuje się mandat zaoczny, który zostawia się w miejscu umożliwiającym jego odnalezienie albo doręcza. Z kolei sprawa wykroczenia zarejestrowanego przez fotoradar zaczyna się od pisemnego wezwania wysyłanego pocztą, z numerem sprawy, dokumentacją zdjęciową i pouczeniem. Żadna z tych ścieżek nie zaczyna się od SMS-a z linkiem do formularza płatności.

Urząd nie zbiera danych karty płatniczej przez link z SMS-a

Druga zasada jest jeszcze prostsza: instytucja publiczna nigdy nie zbiera pełnych danych karty płatniczej na stronie, do której prowadzi link z niezamówionej wiadomości. Jeżeli formularz prosi o numer karty, datę ważności i kod CVV, rozmowa się kończy.

Co zrobić, gdy dane karty już poszły

Tu liczy się tempo, nie analiza.

Pierwszy ruch to kontakt z bankiem, wyzerowanie limitów i zastrzeżenie karty. Drugi to przejrzenie historii rachunku pod kątem transakcji, których właściciel konta nie rozpoznaje. Trzeci to zgłoszenie incydentu: podejrzane SMS-y można przekazywać na numer 8080 obsługiwany przez CERT Polska, a fałszywe strony zgłaszać przez formularz incydentu.

Dopiero potem zaczyna się część prawna, o której ofiary często zapominają.

Bank ma obowiązek oddać pieniądze, i to szybko

Ustawa o usługach płatniczych nakłada na bank obowiązek zwrotu kwoty nieautoryzowanej transakcji do końca dnia roboczego następującego po dniu zgłoszenia. Bank może wstrzymać zwrot tylko wtedy, gdy ma uzasadnione podejrzenie oszustwa po stronie klienta i zgłosi to organom ścigania. Sam fakt, że klient dał się nabrać na phishing, nie jest automatycznym powodem odmowy, choć praktyka rynkowa bywa inna i instytucje chętnie powołują się na rażące niedbalstwo.

Na zgłoszenie jest czas, ale nie nieograniczony: reklamację trzeba złożyć w ciągu 13 miesięcy od obciążenia rachunku. Jak wygląda kradzież pieniędzy przez internet od strony sporu z bankiem, opisywaliśmy wielokrotnie, i jest to spór, który da się wygrać.

Chargeback, gdy pieniądze poszły do fałszywego sprzedawcy

Jeżeli pieniądze zniknęły w wyniku transakcji kartowej u fałszywego sprzedawcy, drugą ścieżką jest obciążenie zwrotne. Na problemy z płatnością kartą pomogą reklamacje i chargeback, a procedura prowadzona przez organizację płatniczą bywa szybsza niż spór o nieautoryzowaną transakcję.

Jak bezpiecznie sprawdzić status mandatu

Najtańsza obrona nic nie kosztuje: nie klikać, nie oddzwaniać, nie odpisywać, zablokować nadawcę i usunąć wiadomość. Status ewentualnego mandatu zawsze można sprawdzić samodzielnie, wchodząc do aplikacji albo na stronę urzędu z poziomu przeglądarki, nigdy z linku w SMS-ie.

I jeszcze jedno. Kampanie tego typu wracają falami, za każdym razem pod nieco innym szyldem: raz to mandat, raz dopłata do przesyłki, raz utrata ważności dokumentu. Marka się zmienia, scenariusz nie.

Obserwuj nas w Google Discover

Podobają Ci się nasze treści?

Google Discover

Obserwuj